awk分析nginx访问日志

博文参考地址：​​https://www.ibm.com/developerworks/cn/linux/l-cn-awk-httplog/​​

AWK 简介

AWK 是一种“样式扫描和处理语言”。它允许您创建简短的程序，这些程序读取输入文件、为数据排序、处理数据、对输入执行计算以及生成报表。它的名称取自于它的创始人 Alfred Aho、 Peter Weinberger 和 Brian Kernighan 姓氏的首个字母。

本文论述的 awk 命令主要指 Linux 操作系统中广泛包含的内置程序 /bin/gawk，它是 Unix awk 程序的 GNU 版本。此命令主要负责读入并运行 AWK 语言编写的程序。在 Windows 平台上可以使用 Cygwin 在模拟环境下运行 awk 命令。

基本上来说，awk 可以从输入（ 标准输入，或一个或多个文件 ）中是否存在指定模式的记录（ 即文本行 ）。每次发现匹配时，就执行相关联的动作（ 例如写入到标准输出或外部文件 ）。

AWK 语言基础

为了能理解 AWK 程序，我们下面概述其基本知识。AWK 程序可以由一行或多行文本构成，其中核心部分是包含一个模式和动作的组合。

 pattern { action }

模式( pattern ) 用于匹配输入中的每行文本。对于匹配上的每行文本，awk 都执行对应的 动作( action )。模式和动作之间使用花括号隔开。awk 顺序扫描每一行文本，并使用 记录分隔符（一般是换行符）将读到的每一行作为 记录，使用 域分隔符( 一般是空格符或制表符 ) 将一行文本分割为多个 域， 每个域分别可以使用 $1, $2, … $n 表示。$1 表示第一个域，$2 表示第二个域，$n 表示第 n 个域。 $0 表示整个记录。模式或动作都可以不指定，缺省模式的情况下，将匹配所有行。缺省动作的情况下，将执行动作 {print}，即打印整个记录。

使用 awk 分解出日志中的信息

由于我们在 IBM HTTP Server 配置文件中指定了访问日志的固定格式，因此，我们可以轻易地使用 awk 解析，抽取我们需要的数据。

以下面的示例日志为例：

 202.189.63.115 - - [31/Aug/2012:15:42:31 +0800] "GET / HTTP/1.1" 200 1365 "-" 

 "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:15.0) Gecko/20100101 Firefox/15.0.1"

$0 就是整个记录行

$1 就是访问 IP ” 202.189.63.115”

$4 就是请求时间的前半部分 “[31/Aug/2012:15:42:31”

$5 就是请求时间的后半部分 “+0800]”

以此类推……

当我们使用默认的域分割符时，我们可以从日志中解析出下面不同类型的信息：

 awk '{print $1}' access.log       # IP 地址  (%h) 

 awk '{print $2}' access.log       # RFC 1413 标识  (%l) 

 awk '{print $3}' access.log       # 用户 ID  (%u) 

 awk '{print $4,$5}' access.log     # 日期和时间  (%t) 

 awk '{print $7}' access _log      #  URI (%>s) 

 awk '{print $9}' access _log      # 状态码 (%>s) 

 awk '{print $10}' access _log     # 响应大小  (%b)

我们不难发现，仅使用默认的域分隔符，不方便解析出请求行、引用页和浏览器类型等其他信息，因为这些信息之中包含不确定个数的空格。因此，我们需要把域分隔符修改为 “ ，就能够轻松读出这些信息。

 awk -F\" '{print $2}' access.log        # 请求行 (%r) 

 awk -F\" '{print $4}' access.log        # 引用页 

 awk -F\" '{print $6}' access.log        # 浏览器

注意：这里为了避免 Unix/Linux Shell 误解 “ 为字符串开始，我们使用了反斜杠，转义了 “ 。

现在，我们已经掌握了 awk 的基本知识，以及它是怎样解析日志的。 下面我们做好准备开始到真实的世界里开始“冒险”了。

回页首

使用 awk 场景举例

统计浏览器类型

如果我们想知道那些类型的浏览器访问过网站，并按出现的次数倒序排列，我可以使用下面的命令：

 awk -F\" '{print $6}' access.log | sort | uniq -c | sort -fr

此命令行首先解析出浏览器域，然后使用管道将输出作为第一个 sort 命令的输入。第一个 sort 命令主要是为了方便 uniq 命令统计出不同浏览器出现的次数。最后一个 sort 命令将把之前的统计结果倒序排列并输出。

发现系统存在的问题

我们可以使用下面的命令行，统计服务器返回的状态码，发现系统可能存在的问题。

 awk '{print $9}' access.log | sort | uniq -c | sort

正常情况下，状态码 200 或 30x 应该是出现次数最多的。40x 一般表示客户端访问问题。50x 一般表示服务器端问题。

下面是一些常见的状态码：

200 - 请求已成功，请求所希望的响应头或数据体将随此响应返回。

206 - 服务器已经成功处理了部分 GET 请求

301 - 被请求的资源已永久移动到新位置

302 - 请求的资源现在临时从不同的 URI 响应请求

400 - 错误的请求。当前请求无法被服务器理解

401 - 请求未授权，当前请求需要用户验证。

403 - 禁止访问。服务器已经理解请求，但是拒绝执行它。

404 - 文件不存在，资源在服务器上未被发现。

500 - 服务器遇到了一个未曾预料的状况，导致了它无法完成对请求的处理。

503 - 由于临时的服务器维护或者过载，服务器当前无法处理请求。

HTTP 协议状态码定义可以参阅：Hypertext Transfer Protocol -- HTTP/1.1

有关状态码的 awk 命令示例：

1. 查找并显示所有状态码为 404 的请求

 awk '($9 ~ /404/)' access.log

2. 统计所有状态码为 404 的请求

 awk '($9 ~ /404/)' access.log | awk '{print $9,$7}' | sort

现在我们假设某个请求 ( 例如 : URI: /path/to/notfound ) 产生了大量的 404 错误，我们可以通过下面的命令找到这个请求是来自于哪一个引用页，和来自于什么浏览器。

 awk -F\" '($2 ~ "^GET /path/to/notfound "){print $4,$6}' access.log

追查谁在盗链网站图片

系统管理员有时候会发现其他网站出于某种原因，在他们的网站上使用保存在自己网站上的图片。如果您想知道究竟是谁未经授权使用自己网站上的图片，我们可以使用下面的命令：

 awk -F\" '($2 ~ /\.(jpg|gif|png)/ && $4 !~ /^http:\/\/www\.example\.com/)\ 

 {print $4}' access.log \ | sort | uniq -c | sort

注意：使用前，将 www.example.com 修改为自己网站的域名。

使用 ” 分解每一行；

请求行中必须包括 “.jpg” 、”.gif” 或 ”.png”；

引用页不是以您的网站域名字符串开始（ 在此例中，即 www.example.com ）；

显示出所有引用页，并统计出现的次数。

与访问 IP 地址相关的命令

统计共有多少个不同的 IP 访问：

 awk '{print $1}' access.log |sort|uniq|wc – l

统计每一个 IP 访问了多少个页面：

 awk '{++S[$1]} END {for (a in S) print a,S[a]}' log_file

将每个 IP 访问的页面数进行从小到大排序：

 awk '{++S[$1]} END {for (a in S) print S[a],a}' log_file | sort -n

查看某一个 IP（例如 202.106.19.100 ）访问了哪些页面：

 grep ^202.106.19.100 access.log | awk '{print $1,$7}'

统计 2012 年 8 月 31 日 14 时内有多少 IP 访问 :

awk '{print $4,$1}' access.log | grep 31/Aug/2012:14 | awk '{print $2}'| sort | uniq | \

wc -l

统计访问最多的前十个 IP 地址

 awk '{print $1}' access.log |sort|uniq -c|sort -nr |head -10

与响应页面大小的命令

列出传输大小最大的几个文件

 cat access.log |awk '{print $10 " " $1 " " $4 " " $7}'|sort -nr|head -100

列出输出大于 204800 byte ( 200kb) 的页面以及对应页面发生次数

 cat access.log |awk '($10 > 200000){print $7}'|sort -n|uniq -c|sort -nr|head -100

与页面响应时间相关的命令

如果日志最后一列记录的是页面文件传输时间 (%T)，例如我们可以自定义日志格式为：

 LogFormat "%h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\" %T" combined

可以使用下面的命令统计出所有响应时间超过 3 秒的日志记录。

 awk '($NF > 3){print $0}' access.log

注意：NF 是当前记录中域的个数。$NF 即最后一个域。

列出相应时间超过 5 秒的请求

 awk '($NF > 5){print $0}' access.log | awk -F\" '{print $2}' |sort -n| 

 uniq -c|sort -nr|head -20

AWK 文本处理：统计出大于280KB小于290KB的文件

[root@localhost ~]# cat img-2019-08-01~11.TXT|tail -5

    [1971509433] => http://www.test123.com/imge/picture/2016/01/15/1971509433.gif 141KB 10

    [1991291388] => http://www.test123.com/imge/picture/2016/01/15/1991291388.gif 102KB 10

    [1885528888] => http://www.test123.com/imge/picture/2016/01/15/1885528888.gif 131KB 10

    [1221006556] => http://www.test123.com/imge/picture/2016/01/15/1221006556.gif 148KB 10

统计出大于280KB小于290KB的文件

cat img-2019-08-01~11.TXT | awk '{print $4,$1,$2,$3,$5}'| awk -F 'KB' '{if ($1>280 && $1<290 )print $0}'|wc -l

cat img-2019-08-01~11.TXT | awk '{print $4,$1,$2,$3,$5}'| awk -F 'KB' '{if ($1>280&&$1<290 )print $0}'

281KB [1787109101] => http://www.test123.com/imge/picture/2016/04/04/1787109101.gif 06,07

289KB [1427036713] => http://www.test123.com/imge/picture/2016/03/07/1427036713.gif 07,08

288KB [1171019016] => http://www.test123.com/imge/picture/2016/05/10/1171019016.gif 08,09

​nginx访问日志如下展示awk统计日志访问情况:​

nginx访问日志内容如下:
22.20.15.56 - - [2022-03-21T11:22:55+08:00] hudyds.test.cn GET "/favicon.ico" "-" "-" 404 973 "-" 404 10.30.50.209:8290 0.003 0.004 "Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/69.0.3497.100 Safari/537.36" "-" "-"
192.168.0.124 - - [2022-03-21T15:20:54+08:00] hudyds.test.cn GET "/plpc/sku" "-" "-" 200 1892 "-" 200 10.30.50.209:8290 0.033 0.033 "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/99.0.4844.74 Safari/537.36" "-" "-"
192.168.0.124 - - [2022-03-21T15:20:56+08:00] hudyds.test.cn GET "/plan" "-" "-" 302 5 "http://hudyds.test.cn/plan/quickpc/sku" 302 10.30.50.209:8290 0.003 0.003 "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/99.0.4844.74 Safari/537.36" "-" "-"
192.168.0.124 - - [2022-03-21T15:20:56+08:00] hudyds.test.cn GET "/plan/" "-" "-" 302 0 "http://hudyds.test.cn/plan/quickpc/sku" 302 10.30.50.209:8290 0.003 0.004 "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/99.0.4844.74 Safari/537.36" "-" "JSESSIONID=4A4EE7090EF4D11674BCE1DBD9826771"
192.168.0.124 - - [2022-03-21T15:20:56+08:00] hudyds.test.cn GET "/pn/index" "-" "-" 200 2112 "http://hudyds.test.cn/plan/quickpc/sku" 200 10.30.50.209:8290 0.005 0.005 "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/99.0.4844.74 Safari/537.36" "-" "JSESSIONID=4A4EF4D11674BCE1DBD9826771"
192.168.0.124 - - [2022-03-21T15:20:59+08:00] hudyds.test.cn POST "/planin" "-" "w_number=chdsie&pad=sudees4" 302 0 "http://hudyds.test.cn/plan/index" 302 10.30.50.209:8290 le0.006 0.005 "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/99.0.4844.74 Safari/537.36" "-" "JSESSIONID=4A4EE7090E674BCE1DBD9826771"
192.168.0.124 - - [2022-03-21T15:20:59+08:00] hudyds.test.cn GET "/plan/" "-" "-" 302 0 "http://hudyds.test.cn/plan/index" 302 10.30.50.209:8290 0.004 0.004 "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/99.0.4844.74 Safari/537.36" "-" "JSESSIONID=4A4EE7090EF4D11674BCE1DBD9826771"
192.168.0.124 - - [2022-03-21T15:20:59+08:00] hudyds.test.cn GET "/plan/index" "-" "-" 302 0 "http://hudyds.test.cn/plan/index" 302 10.30.50.209:8290 0.004 0.003 "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/99.0.4844.74 Safari/537.36" "-" "JSESSIONID=4A4EE7090EF4D11674BCE1DBD9826771"
192.168.0.124 - - [2022-03-21T15:21:00+08:00] hudyds.test.cn GET "/plkpc/sku" "-" "-" 200 4604 "http://hudyds.test.cn/plan/index" 200 10.30.50.209:8290 0.008 0.008 "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/99.0.4844.74 Safari/537.36" "-" "JSESSIONID=4A4EE7090EF4D11674BCE1DBD9826771"
192.168.0.100 - - [2022-03-21T16:12:40+08:00] hudyds.test.cn GET "/pro/pi/getInfo" "orderNo=" "-" 200 49 "-" 200 10.30.50.209:8290 0.005 0.004 "Apache-HttpClient/4.5.6 (Java/1.8.0_181)" "-" "-"
192.168.0.100 - - [2022-03-21T16:12:40+08:00] husdc.cn GET "/Testdbapi/messagegetOrderInfo" "testinfoid=" "-" 200 49 "-" 200 10.30.50.209:8290 0.005 0.004 "Apache-HttpClient/4.5.6 (Java/1.8.0_181)" "-" "-"
192.168.0.124 - - [2022-03-22T09:56:11+08:00] husdc.cn POST "/plan/battheck" "-" "time=2022-03-22 09:53:06&testinfoidpengyufeng&tehudds=JKjoHSghuang&sn=399&fru=68+ 45N1736&code=1ZW046191Z3&status=ok&brand=SONY&temp=14.95&condition=good&cap=85&volt=11.35&crnt=0.31&cycle=0&rmcap=35.88&flchrgcap=42.07&designcap=47.52&designvolt=10.8" 200 32 "-" 200 10.30.50.209:8290 0.046 0.022 "-" "-" "-"
192.168.0.124 - - [2022-03-22T09:56:11+08:00] husdc.cn POST "/plan/batheck" "-" "time=2022-03-22 09:54:48&testinfoidpengyufeng&tehudds=JKjoHSgongang&sn=4212&fru=61  01AV490&code=L4NX8A7005F&status=ok&brand=LG&temp=12.95&condition=good&cap=59&volt=10.91&crnt=0.31&cycle=0&rmcap=11.43&flchrgcap=19.24&designcap=23.94&designvolt=11.4" 200 32 "-" 200 10.30.50.209:8290 0.031 0.008 "-" "-" "-"
192.168.0.124 - - [2022-03-22T09:56:11+08:00] husdc.cn POST "/plan/batheck" "-" "time=2022-03-22 09:56:02&testinfoidpengyufeng&tehudds=JKjoHSgong&sn=3124&fru=??? 01AV452&code=X1XP78H02VN&status=ok&brand=SONY&temp=12.45&condition=good&cap=79&volt=11.27&crnt=0.31&cycle=0&rmcap=16.79&flchrgcap=21.35&designcap=24&designvolt=11.46" 200 32 "-" 200 10.30.50.209:8290 0.041 0.009 "-" "-" "-"
192.168.0.100 - - [2022-03-22T14:57:20+08:00] husdc.cn GET "/Testdbapi/messagegetOrnfo" "testinfoid=E94934www3HDMI" "-" 200 79 "-" 200 10.30.50.209:8290 0.008 0.008 "Apache-HttpClient/4.5.6 (Java/1.8.0_181)" "-" "-"
192.168.0.100 - - [2022-03-22T16:07:15+08:00] husdc.cn GET "/Testdbapi/messagegetOrnfo" "testinfoid=4444Z2NP" "-" 200 70 "-" 200 10.30.50.209:8290 0.004 0.005 "Apache-HttpClient/4.5.6 (Java/1.8.0_181)" "-" "-"
192.168.0.124 - - [2022-03-22T17:25:27+08:00] husdc.cn POST "/plan/batteryinfologin" "-" "name=png&ord=eerrttt4" 200 40 "-" 200 10.30.50.209:8290 0.038 0.012 "-" "-" "-"
(END)

​awk 分析nignx 访问日志 指定时间段出现过多少访问IP以及访问IP次数​

查出4月23号0点到24点这个时间段的nginx日志的访问IP和访问次数，并且排序

[root@testdb data1]# awk '$4>"[2022-03-22T00:00:24+08:00]" && $4<="[2022-03-22T23:59:24+08:00]" {sum[$1]++} END {for(ip in sum) print ip,sum[ip]}' access.log  
192.168.0.100 2
192.168.0.124 4

​统计访问次数据前10的ip，配合使用sort排序:​

awk ‘{sum[$1]++}END{for(ip in sum) print ip, sum[ip]}’ access_1.log | sort -rn -k 2|head

[root@testdb data1]# awk '{sum[$1]++}END{for(ip in sum) print ip, sum[ip]}' access.log | sort -rn -k 2|head
192.168.0.124 12
192.168.0.100 4
22.20.15.56 1

​统计状态码是200的访问IP和访问IP次数排序 并且取前5个:​

[root@testdb data1]#  awk '{if($10=="302")sum[$1,$10]++}END{for(ip_num in sum)print ip_num,sum[ip_num]}' access.log |sort -rn -k 2|head -5
192.168.0.124302 5
[root@testdb data1]#  awk '{if($10=="200")sum[$1,$10]++}END{for(ip_num in sum)print ip_num,sum[ip_num]}' access.log  |sort -rn -k 2|head -5
192.168.0.124200 4
192.168.0.100200 4
[root@testdb data1]#  awk '{if($10=="404")sum[$1,$10]++}END{for(ip_num in sum)print ip_num,sum[ip_num]}' access.log  |sort -rn -k 2|head -5
22.20.15.56404 1

​统计状态码为200、访问量大于2的最大ip前5名（2列）:​

[root@testdb data1]# awk '{if($10=="200")sum[$1]++}END{for(ip in sum)if(sum[ip]>2) print ip, sum[ip]}' access.log | sort -rn -k 2
192.168.0.124 4
192.168.0.100 4

​访问量大于200的最大ip前5名（2列）:​

awk '{sum[$1]++}END{for(ip in sum)if(sum[ip]>200) print ip, sum[ip]}' mrp_access.log | sort -rn -k 2

​从文件中找出长度大于 80 的行：​

awk ‘length>80’ log.txt

​打印九九乘法表:​

seq 9 | sed ‘H;g’ | awk -v RS=’’ ‘{for(i=1;i<=NF;i++)printf("%dx%d=%d%s", i, NR, i*NR, i==NR?"\n":"\t")}’

#按时段统计 访问量

cat  log-2017-04-13_00008 | awk -F '-' '{print strftime("%Y%m%d%H%M",$1)}' | sort | uniq -c

#按条件筛选访问量

cat log-2017-05-10_00015 | awk -F '-' '{if($8==42078&& $7==818){print $0}}' |wc -l